基于瀏覽器嵌入規(guī)劃的非安全JavaScript檢測與分析.pdf

1、作為一個客戶端的應用程序，瀏覽器是用戶和因特網之間進行交互的一個重要平臺?，F(xiàn)在存在許多與瀏覽器密切相關的惡意攻擊，對用戶瀏覽器安全造成了嚴重的威脅。此外Web2.0因功能豐富、響應快速以及交互性強而倍受開發(fā)人員與用戶的青睞，Web2.0應用程序的特點是允許接受不受信任的來源并將大量計算工作放置客戶端執(zhí)行。隨著這個趨勢，攻擊者也漸漸地將攻擊目標從服務器端轉向了客戶端，而目前的Web安全技術發(fā)展遠遠落后于應用技術的發(fā)展，使得Web應用程序頻

2、繁遭到攻擊，而JavaScript語言也同時被許多惡意團體用來開發(fā)基于瀏覽器的攻擊。
　　 本文提出了一種根據(jù)安全檢測規(guī)則控制JavaScript執(zhí)行行為來確保瀏覽器安全的方法。目的是為了阻止或者修改因惡意腳本注入而導致的非合法行為，利用GreaseMonkey，保護機制(安全檢測規(guī)則)將自動化的插入到代碼中，在事件執(zhí)行前攔截所有與安全相關的事件的執(zhí)行。我們不需要對JavaScript代碼進行靜態(tài)分析，僅僅需要將JavaScri

3、pt代碼的執(zhí)行情況與高層定義的安全檢測規(guī)則進行比較就可以檢測出代碼的惡意行為。當用戶訪問Web站點時，該系統(tǒng)將安全檢測規(guī)則自動化地插入到該Web站點中，分析網站潛在的安全威脅，并同時將審計的日志信息保存在客戶端的本地文件中。
　　 安全檢測規(guī)則的實現(xiàn)采用了面向方面編程技術原理。而創(chuàng)建安全檢測規(guī)則的挑戰(zhàn)主要來自于JavaScript語言本身的特性：在程序范圍內任何變量都可以重新定義，并且可以動態(tài)創(chuàng)建和運行代碼。這就帶來了潛在的問題